Klarstellung vom Bayerischen Landesamt für Datenschutzaufsicht: Wann liegt im Internethandel eine Auftragsverarbeitung nach DSGVO vor und wann nicht?

Artikel 28 DSGVO regelt die Auftragsverarbeitung von Daten. Erfolgt eine Verarbeitung von Daten im Auftrag eines Verantwortlichen, muss ein Auftragsverarbeitungsvertrag zwischen den Beteiligten abgeschlossen werden.

Im Internethandel werden vielfach personenbezogene Daten verarbeitet. Die Frage, inwieweit eine Auftragsverarbeitung vorliegt oder nicht, ist daher für Internethändler von großer Wichtigkeit. Für den Fall, dass eine Auftragsverarbeitung gegeben ist, muss eine entsprechende vertragliche Vereinbarung geschlossen werden.

Das Bayerische Landesamt für Datenschutzaufsicht hat sich in einer FAQ zur DSGVO mit Stand 20.07.2018 zur Frage geäußert, wann eine Auftragsverarbeitung vorliegt. Es handelt sich zwar “nur” um die Ansicht eines einzelnen Landesamtes, die Einordnung hat jedoch dennoch Gewicht.

Keine Auftragsverarbeitung im Sinne von Artikel 4 Nr. 8 DSGVO, sondern eine eigene Verantwortlichkeit wird insbesondere angenommen für Postdienste, für den Brief- oder Pakettransport. Internethändler versenden in der Regel, so dass dies die rechtlichen Anforderungen erheblich entspannt.

Auch beim sogenannten Dropshipping liegt keine Auftragsverarbeitung vor. Bei einem Dropshipping liefert der Internethändler nicht selbst aus, sondern ein von ihm beauftragter Dritter. Das Bayerische Landesamt spricht insofern von einer “beauftragten Warenzusendung”. Konkret geht es um Hersteller und Großhändler, die vom Einzelhändler für mit Endkunden vereinbarte Direktlieferungen die Endkundenadressen erhalten.

Es ist zu begrüßen, dass die Aufsichtsbehörde zwei für den Internethandel wesentliche Punkte nicht als Auftragsverarbeitung ansieht.

Stand: 20.08.2018

Es berät Sie: Rechtsanwalt Andreas Kempcke

https://ssl-vg03.met.vgwort.de/na/dcc07aa442de43c089f31fd7e459d775